wolfIP и passt — леки TCP/IP стеки, работещи без динамично разпределение на паметта

Разработчиците на криптографската библиотека wolfSSL развиват TCP/IP стека wolfIP, оптимизиран за използване в вградени устройства с ограничени ресурси, както и за системи, работещи в реално време, и решения, изискващи повишена надеждност (Safety-Critical). За предсказуемо потребление на ресурси в wolfIP не се използва динамично разпределение на паметта — всички буфери и таблици за сокети имат фиксиран размер и се настройват на етапа на компилация. Кодът на проекта е написан на C и се разпространява под лицензия GPLv3.

Проектът може да се използва като TCP/IP стек, работещ в потребителското пространство, заменящ мрежовия стек на Linux, FreeBSD и macOS, както и подходящ за приложение в вградени системи на базата на FreeRTOS, SafeRTOS, Zephyr, Azure RTOS ThreadX, NuttX, RTEMS, VxWorks и QNX. Освен това на базата на wolfIP могат да се създават самостоятелни мрежови приложения, стартиращи на оборудване (bare-metal). В комбинация с библиотеката wolfSSL се предоставя поддръжка на TLS 1.3, което позволява създаването на компактни вградени системи, поддържащи HTTPS.

Основни характеристики на wolfIP:

• Използване на предварително разпределени в статична памет буфери при обработката на мрежови пакети. В обажданията malloc и free не се използват.
• Възможност за използване вместо стандартните системни мрежови стека на POSIX-системи.
• Поддръжка на BSD-сокети в неблокиращ и блокиращ режим.
• Компактен размер (4200 реда код, 4 пъти по-малко от TCP/IP стека lwIP).
• Поддръжка на мрежови интерфейси STM32 Ethernet.
• Възможност за използване на мрежов интерфейс TAP за тестване на работа без оборудване.
• Разработка с оглед на системи с високи изисквания за сигурност: детерминирана и възпроизводима конфигурация; модел на разгръщане, осигуряващ безопасност (Secure-by-default); изолация между компонентите. Поддръжка на безопасно обновление на версиите; дългосрочна поддръжка.
• Вземане под внимание на изискванията за високо надеждни системи: отсъствие на динамично разпределение на ресурси; фиксирани пулове памет; контролирано използване на ресурси; предсказуемо поведение; опростена архитектура; поддръжка на генериране на артефакти за верификация.
• Реализация на IPv4, UDP, TCP, IPSEC, ARP, ICMP, DHCP клиент, DNS клиент и HTTP/HTTPS сървър. Подкрепа за реализация на TCP RFC 7323 (TCP таймпечатки, измерване на RTT, PAWS, управление на прозорец), MSS (Максимален размер на сегмента), RTO (Време за повторно предаване) и SACK (Избирателно потвърждение). Няколко алгоритъма за контрол на задръстванията.

От ограниченията на wolfIP се отбелязва, че може да се използва само в роля на краен възел, способен да приема и установява връзки, но без поддръжка за маршрутизиране на трафик между мрежови интерфейси.

В допълнение, активно се развива проектът passt от служител на Red Hat, който е подобен на TCP/IP стека и работи в потребителското пространство, без да използва динамично разпределение на паметта. Проектът passt се развива за създаване на комуникационен канал между хост среда и гостуващи системи в QEMU, като по-безопасна алтернатива на libslirp. Кодът на passt е написан на C, съдържа около 5000 реда и се разпространява под лиценз GPLv2+.

От особеностите на passt можем да отбележим: поддръжка на IPv6 освен IPv4, оптимизация на базата на инструктиите AVX2, защита от synflood, вградена поддръжка за QEMU, libvirt и Podman, пакети за всички популярни дистрибуции, ARP proxy услуга, минималистични сървъри DHCPD, DHCPv6 и NDP, seccomp профил за блокиране на всички неизползвани системни повиквания, поддръжка за NAT, възможност за използване като прозрачно заместване на slirp4netns.

Източник: opennet.ru